Sparrow Wallet 2.5.4 siết bảo mật giao dịch sau rà soát bằng AI

Sparrow Wallet, ví Bitcoin(BTC) dành cho máy tính, vừa phát hành phiên bản 2.5.4 với hàng loạt điều chỉnh về xác thực giao dịch, kết nối ví cứng, quản lý quyền truy cập và bảo mật nhật ký. Đây là bản cập nhật tập trung củng cố đường xác thực của phần mềm ví hơn là bổ sung tính năng mới.

Trang tải xuống chính thức của Sparrow Wallet đánh dấu 2.5.4 là bản phát hành mới nhất vào ngày 27. Thời gian ký manifest trên cùng trang này là 13 giờ 30 phút 30 giây (giờ Nam Phi) ngày 27, tương đương 20 giờ 30 phút 30 giây giờ Hàn Quốc cùng ngày.

Theo ghi chú phát hành trên GitHub, cùng phiên bản này được công bố lúc 11 giờ 53 phút ngày 27. Sau khi công bố, nhánh master đã ghi nhận thêm một commit.

Craig Raw, nhà phát triển Sparrow Wallet, nói với Decrypt rằng việc rà soát mã nguồn có sự hỗ trợ của AI đã tạo ra “phần lớn” các bản sửa lỗi trong lần phát hành này. Ông không tiết lộ tên mô hình AI đã sử dụng.

Craig Raw cho biết thêm: “Chúng tôi không phát hiện vấn đề nào có khả năng gây rủi ro cho tài sản của người dùng”. Bình luận: phát biểu này cho thấy nhà phát triển đã tự kiểm tra từng lỗi, đồng thời để nhiều công cụ AI độc lập rà soát chéo trước khi phát hành, thay vì chỉ dựa vào một kênh kiểm tra duy nhất.

Các hạng mục được sửa trải rộng trên nhiều khu vực: kết nối ví cứng, xác thực giao dịch, quản lý quyền truy cập và xử lý nhật ký. Ghi chú phát hành nêu rõ Sparrow Wallet giờ luôn yêu cầu bảo vệ chống đánh cắp khóa (anti-klepto) khi dùng với BitBox02, đồng thời nâng phiên bản firmware tối thiểu lên 9.4.0.

Nếu Ledger từ chối bản đăng ký đã lưu, ví sẽ đăng ký lại chính sách và thử kết nối lại. Với Keycard, phần mềm giờ từ chối các phản hồi có độ dài TLV bị cắt ngắn hoặc vượt mức cho phép.

Quy trình xác nhận giao dịch cũng được siết chặt. Sparrow Wallet giờ kiểm tra xem giao dịch lấy về từ máy chủ có khớp với mã TXID đã yêu cầu hay không, đồng thời duy trì kho lưu tiêu đề khối (block header) đã xác thực, kiểm tra bằng chứng gộp Merkle và bằng chứng công việc (proof-of-work) tại đỉnh chuỗi.

Thay đổi này nhằm giảm mức độ phụ thuộc vào dữ liệu do máy chủ bên ngoài cung cấp. Ví trên máy tính thường hiển thị số dư và trạng thái giao dịch dựa trên dữ liệu nhận từ node hoặc máy chủ, nên nếu bước xác thực lỏng lẻo, người dùng có thể tiếp nhận dữ liệu sai lệch mà không hay biết.

Bản cập nhật còn có các chỉnh sửa liên quan đến quyền riêng tư và môi trường vận hành. Thư mục ví và bản sao lưu hiện có được giới hạn quyền truy cập chỉ cho chủ sở hữu, còn thông tin xác thực của Bitcoin Core và nhật ký gỡ lỗi của Trezor được ẩn các dữ liệu nhạy cảm.

Ngoài ra, phần mềm giảm khoảng trống trong phân giải DNS cục bộ khi người dùng sử dụng Tor. Với phần mềm ví tiền mã hóa, nhật ký và đường truyền mạng có thể ảnh hưởng đến khả năng nhận diện người dùng và an toàn vận hành không kém gì việc di chuyển tài sản.

Bản cập nhật này xuất hiện trong bối cảnh cộng đồng ví Bitcoin xem lại cách xác thực mã nguồn sau sự cố bảo mật của Coldcard. Coinkite, công ty đứng sau Coldcard, cho biết trên trang trạng thái bảo mật rằng firmware tiêu chuẩn hiện tại đã bổ sung thêm các biện pháp kiểm soát an ninh.

Tuy nhiên, Coinkite khẳng định các seed đã được tạo trên firmware bị ảnh hưởng sẽ không tự khôi phục an toàn chỉ bằng cách cập nhật firmware. TokenPost từng đưa tin rằng seed cũ trên Coldcard vẫn cần được chuyển sang ví mới dù firmware đã được vá.

Sparrow Wallet tự giới thiệu là ví Bitcoin trên máy tính đặt bảo mật và quyền riêng tư lên hàng đầu. Tại Hàn Quốc, từng có trường hợp ứng dụng giả mạo Sparrow Wallet gây thiệt hại và dẫn tới vụ kiện tại Mỹ.

Khác với sự cố ứng dụng giả mạo nói trên, bản cập nhật 2.5.4 lần này chỉ liên quan đến đường xác thực và thiết bị kết nối của phần mềm chính thức. Phản ứng từ cộng đồng còn khá giới hạn, chủ yếu đến từ người dùng am hiểu kỹ thuật. Trên diễn đàn Bitcointalk, một số thành viên đánh giá đây là bản cập nhật đáng cài đặt vì liên quan trực tiếp đến bảo mật và độ tin cậy.

Tính đến thời điểm ghi nhận ban đầu, bản phát hành trên GitHub mới có 3 phản hồi. Chưa có số liệu nào cho thấy bản cập nhật này tác động trực tiếp đến giá thị trường hay dòng tiền của người dùng.